Nim 2.4.0 안정판 출시…병렬 빌드와 스레드 간 순환 참조 지원
Nim 팀이 10월 28일 안정판 2.4.0을 발표했습니다. 새 문자열 API와 병렬·증분 빌드, 여러 스레드에 걸친 순환 참조를 처리하는 메모리 관리 방식 등을 추가했습니다.
보안·인프라 · 최신기사
보안과 개인정보, 운영체제와 클라우드·데이터 인프라를 다룹니다.
미군 매장 냉동고 장애, 8월부터 사이버 방해 의혹…해킹 여부는 미확인
미군 기지 매장 최소 6곳에서 8월 냉동고와 냉장 설비가 따뜻해져 식품이 상했습니다. 사이버 방해 가능성은 8월 28일 이미 보도됐고, 수사기관도 9월 초 조사에 착수했지만 조사 성격은 공개하지 않았습니다. 국방부가 의심되는 해킹으로 다룬다는 보도는 10월 29일 나왔으며 침입이나 공격 주체는 확인되지 않았습니다.
노드 비가용률 2% 모델서 16노드 단위, 18노드보다 사용 가능 용량 27% 많아…NVL72 배치
SkyPilot은 노드 비가용률이 약 2%인 NVL72 클러스터 모델에서 16노드 작업 단위와 랙당 예비 노드 2개를 적용하면 18노드 단위보다 사용 가능 용량이 27% 많다고 제시합니다. 별도 GR00T 실험에서는 랙 인지 배치로 처리량이 14.4% 늘었다고 보고했습니다.
Axis Camera Station, 서버 장악에서 카메라 계정 복호화까지 이어진 공격 경로
보안 연구자가 공장 환경의 침투 테스트에서 Axis Camera Station 취약점을 연결해 서버를 장악하고 카메라 계정을 복호화한 과정을 공개했습니다. 서버 취약점과 저장 데이터 암호화 취약점의 수정 버전이 다르며, Axis는 패치 전 백업의 삭제와 저장된 자격증명 변경도 권고했습니다.
PAN-OS 관리 인터페이스 취약점, 방화벽 장악 뒤 내부 AD 공격으로 이어져
Dream은 취약한 PAN-OS 관리 인터페이스를 겨냥한 PHP 원격 코드 실행과 리눅스 커널 권한 상승을 연결해 방화벽과 관리 서버 25대를 침해한 작전을 공개했습니다. 공격자는 미국 정부 관련 환경의 내부망에 터널을 만들고 Active Directory 정보를 수집했으며, 후속 계정 침해 시도의 성공 여부는 확인되지 않았습니다.
64비트 floor 나눗셈, 부호별 상수 선택으로 더 빠르게 계산한다
Ben Joffe가 컴파일 시 제수가 정해진 signed floor 나눗셈에 부호별 곱셈 상수를 선택하는 알고리즘을 제시했습니다. 저자의 벤치마크에서 새 방식은 ARM 64비트에서 대체로 앞섰지만 x86에서는 처리량과 지연시간에 따라 기존 Robison 방식이 더 나은 경우가 많았습니다.
인터넷·파일을 막아도 CPU 캐시로 신호를 주고받은 AI 에이전트
OpenAI는 별도 microVM에 둔 AI 에이전트에게 네트워크와 공유 파일 없이 비밀을 교환하라고 요청했고, 에이전트는 CPU 캐시의 읽기 시간 차이를 통신에 활용했습니다. 대부분의 시험은 채널이나 프로토콜을 연구진이 지정했으며, 한 시험에서만 넓은 취약점 목록을 바탕으로 에이전트가 경로와 부호화 방식을 찾았습니다.
DeepTutor 1.7부터 기본 설치는 코어만…웹앱은 `deeptutor[full]`로 설치
DeepTutor 1.7.0부터 `pip install deeptutor`는 코어만 설치하고, 웹앱과 표준 기능 모듈을 쓰려면 `deeptutor[full]`을 선택해야 합니다. 기존 `deeptutor-cli` 설치자는 새 패키지를 설치하기 전에 CLI 패키지를 먼저 제거해야 하며, 앱 데이터는 패키지와 분리된 런타임 홈에 남습니다.
Qwen 모델 가중치 안에 32비트 RISC-V CPU를 구현했습니다
Qwenputer는 Qwen 3.5 4B의 Gated DeltaNet 상태를 RAM으로 쓰고, 추가 가중치에 RV32IM CPU를 컴파일한 실험 모델입니다. 산술 벤치마크에서 Python 도구를 쓴 모델과 비슷한 점수를 냈지만 체크포인트가 18.8GB로 커지고 실행도 느립니다.
Dell PowerEdge의 Micron SSD, 누적 65,535시간 뒤 성능 저하
Dell은 Micron 5100·5200 SSD가 누적 약 65,535시간(약 7.5년) 작동하면 읽기·쓰기 성능이 떨어질 수 있다고 공지했습니다. 5100과 5200 일부 모델에는 수정 펌웨어가 나왔지만 5300·5400용 해결책은 개발 중입니다.
미국 국토안보부 직원 4만1천 명 정보 유출, 위장 수사 요원도 포함
미국 국토안보부(DHS)와 산하 기관 직원·계약자 4만1천여 명의 연락처와 내부 시스템 접근 그룹 정보가 유출됐습니다. 위장 수사와 감시 프로그램 관련 정보도 포함돼 있어, 개인 정보 노출뿐 아니라 직원 사칭과 수사 방해 위험도 제기됩니다.
CISA, Node2Shell / HTTP2Shell 취약점 악용 확인
CISA가 Brotli 디코더 취약점 CVE-2026-111497의 실제 악용을 확인하고 KEV 목록에 추가했습니다. 공격자는 조작한 압축 데이터를 보내 메모리 손상, 정보 노출, 서비스 거부 또는 원격 코드 실행을 일으킬 수 있어 패치와 영향 프로세스 재시작이 필요합니다.
eMudhra 인증서 폐기 뒤에도 남은 신뢰의 공백
eMudhra는 취약한 중간 인증기관 8곳의 인증서를 폐기하고 고객 데이터 침해 증거가 없다고 밝혔지만, 키 생성·검증 과정의 상세 원인은 조사 중입니다. 별도로 인도 정부 사이트 조사에서는 다른 RSA 인증서 폐기 뒤에도 구형 인증서를 제공하는 사례가 확인됐고, Apple 개발 도구가 취약 인증서를 신뢰한다는 주장도 제기됐습니다. 서로 다른 인증서 문제와 클라이언트별 대응을 구분해 살펴봅니다.
취약점 공개의 속도를 방어자가 따라갈 수 없습니다
보안 취약점 공개가 잇따르면서 방어팀이 취약점의 실제 영향 범위를 확인하고 패치를 배포하는 속도가 이를 따라가지 못한다고 지적합니다. 글쓴이는 AI가 이 병목을 해결하기보다 보고서와 대응 업무를 늘릴 수 있다며, 자산 노출을 줄이고 침해 범위를 제한하는 방어에 투자해야 한다고 주장합니다.
UEFI 펌웨어 코드 실행 취약점, 서버 부팅 과정 위협
UEFI 펌웨어 제작에 널리 쓰이는 TianoCore EDK II의 ICMP 구성 요소에서 CVE-2026-97631 메모리 손상 취약점이 발견됐습니다. 운영체제와 Secure Boot가 실행되기 전에 공격 코드가 동작할 수 있으며, 공개 패치로 공격법이 드러난 데다 여러 제조사 제품에 패치를 배포하는 데 시간이 걸립니다.
Tailscale 취약점 11건 발견…SSH 결함은 root 권한 상승, 일부는 자격 증명 탈취 가능
보안 연구팀 Cyberdione Labs가 Tailscale과 자체 호스팅 제어 서버 headscale에서 취약점 11건을 발견했습니다. Tailscale SSH의 포트 포워딩 결함은 이미 접속 권한이 있는 사용자가 서버에서 root 권한을 얻도록 할 수 있으며, Tailscale은 패치를 준비하면서 SSH 정책 검토와 포워딩 비활성화를 권고했습니다.
FortiBleed 2.0: FortiBleed 1.0 자료에 없던 도메인 표기 975개와 노출된 비밀정보 40,573건
FortiGate 설정 보고서 1,703개에서 계정·인증정보 101,419건을 집계했으며, 이 중 평문 비밀정보는 40,573건입니다. 분석은 975개 도메인 표기가 이전 FortiBleed 자료와 겹치지 않는다고 보고하지만, 이를 신규 피해 기업이나 실제 침해 건수로 해석하지 않습니다.
AI 보안 스타트업, 12시간 안에 Anthropic 내부 시스템 접근
Anthropic의 외부 보안 테스트에 참여한 Cathedral이 12시간 안에 일부 영업·인사·IT 시스템의 취약점을 찾아 직원 정보와 내부 메시지에 접근했습니다. 고객과 Claude의 대화, 모델 가중치와 소스 코드에는 접근하지 못했으며, Anthropic은 관련 소프트웨어를 비활성화하고 공급업체의 수정 확인 뒤 복구했습니다.
NIST, 양자내성암호 표준 전환 지침 보고서 발표
NIST가 양자컴퓨터에 취약한 암호 알고리즘에서 양자내성암호(PQC) 표준으로 옮겨가기 위한 로드맵인 NISTIR 8547을 발표했습니다. 연방 시스템의 전환 시한과 알고리즘별 조치, 민감한 장기 보관 데이터의 우선순위, 하이브리드 방식과 공급망 점검을 안내합니다.
웹 PKI 역사상 가장 난처한 개인 키 사고
eMudhra의 중간 인증기관 8곳에서 P-384 개인 키가 256보다 작은 값으로 생성돼 공개 키만으로도 복구할 수 있는 문제가 드러났습니다. 키 생성과 선택 검증이 모두 실패했고, 브라우저 차단만으로는 자체 인증서 저장소를 쓰는 클라이언트까지 보호하지 못할 수 있습니다.